暗号ハックとDeFiエクスプロイトの損失、Q2はQ1と同等になる見込み

CertiKのスマートコントラクトセキュリティプラットフォームがまとめたデータによると、今年の第1四半期に暗号空間内で悪意のある行為者により3億2000万ドル以上が失われました。この数字は前四半期（2022年第4四半期）や前年同期間と比べて大幅に減少しています。ブロックチェーンセキュリティ企業は、この減少を業界を揺るがした深刻なインシデントが3か月間にわたって発生したことに起因するとしています。

特に注目すべきは、ステーブルコイン市場の混乱と、デジタル資産領域にまで波及した銀行危機です。これらの不幸な出来事により、投資家は資金を脇に置くようになり、同時に新規参入者や資金流入も抑制されました。第2四半期の半ばに入ったばかりですが、さらなるエクスプロイト事件が報告されており、損失額は第1四半期と同等に達しつつあります。

4月にハック、エクスプロイト、詐欺で $103 million が失われました

3月には約2億1100万ドルが暗号資産で盗まれ、そのうち主にEuler Financeへの1億9700万ドルのハックが占めていました。先月流出した金額はその約半分未満で、ブロックチェーンセキュリティ企業Certified Kernel Tech（CertiK）は、エクスプロイト、ハック、詐欺による損失額を1億0370万ドルと推定しています。

4月と3月の数字を合わせると、今年最初の4か月間に悪意ある行為者によって盗まれた総額は4億2970万ドルに達しました。4月の別の大きなインシデントとして、Ethereumの最大抽出可能価値（MEV）ボットによるサンドイッチ攻撃があり、2,540万ドルの損失が発生しました。また、Bitrue取引所でもホットウォレットの一つから2,300万ドル相当のEtherやその他の通貨が流出したと報告されています。

フラッシュローン攻撃

分散型金融アグリゲーターであるYearn Financeは先月、フラッシュローン攻撃で主導的な役割を果たしましたが、影響を受けたのはプロトコルの旧バージョンを使用していたユーザーのみでした。PeckShieldは4月13日に、ハッカーがバグを突いてyUSDTを極めて大量にミントしたと報告しました—1.3クアドリリオン（1.3×10^15）トークンで、わずか10,000 USDTから約1,160万ドル相当です。その後の一連のスワップにおいて、攻撃者は61,000 USDP、150万 TUSD、179万 BUSD、120万 USDT、258万 USDC、そして300万 DAIを取得しました。

マルチチェーン貸付プールであるHundred Financeは、Ethereumレイヤー2のOptimism上でWBTCのフラッシュローンを利用したセキュリティ侵害を受け、4月15日に740万ドルを失いました。その後、交渉が実を結ばなかったため、プロトコルはハッカーに対し50万ドルのバウンティを設定しました。Hundred Financeは以前、2022年3月にリエントランシー攻撃で650万ドルの被害を受けています。また、ブロックチェーンセキュリティ企業は、4月に分散型取引所Merlinが関与したことで、エグジット詐欺による総損失が940万ドルに増加したことも示しました。

CertiKは、Merlinへの攻撃で不正開発者が $1.8M を盗んだと主張しています

zkSyncの分散型取引所Merlinは、4月25日にMAGEトークンの3日間にわたる公開販売中に182万ドルの損失を被りましたが、CertiKによる監査を受けていました。このDEXは、預金に対する魅力的な利回りで人気を集めており、攻撃を確認し、全ユーザーにウォレット権限を解除するよう助言しました。一方、CertiKはこの問題をプライベートキー管理の問題と位置付けました。

このインシデントに関するスレッドで、ブロックチェーンセキュリティ企業は後に、Merlinの監査報告書の『Decentralization Efforts』項目で集中化リスクを指摘したことを強調しました。しかし、一部では同社の作業品質に疑問が呈されています。その一方で、資金喪失の原因とされる悪意あるコードは、zkSync上に構築された分散型取引所兼ローンチパッドのeZKaliburによって特定されました。eZKaliburは、initialize関数が一種のバックドアを作成し、契約アドレスから‘feeToアドレス’へ無制限にトークンを転送できるようにしたと指摘しています。

補償プランが策定中です

CertiKは4月26日に、被害者向けの補償プランを検討していると述べると同時に、関係者に資金の80％を返還し、残りはホワイトハット・バウンティとして受け取るよう促しました。また、攻撃ではなくMerlinは不正開発者の被害者であると指摘し、これが流動性プールを容易に吸い上げられた理由であると説明しました。ブロックチェーンセキュリティチームは、加害者はヨーロッパにいると見ており、直接交渉が行き詰まった場合は法執行機関と協力して正義を追求すると述べました。

金曜日の状況アップデートで、CertiKはこれがMerlin開発者によるラグプルであり、ウォレット権限を悪用してユーザーを詐欺したものだと主張しました。また、残存するMerlinチームとの協力は、一部の主要メンバーが身元確認を拒否したために困難を伴い、被害者の検証や支援が難航していると付け加えました。CertiKはこれまでに盗まれた資金の16万ドルを凍結し、残額の回復を期待して継続的に監視しています。米国と英国の法執行機関と協力しながら、被害者支援とエグジット詐欺対策のために200万ドルの資金提供も約束しました。

ハッカーが価格オラクルを操作し、Polygon貸付プロトコル0VIXから $2M を盗む

4月末に価格オラクル操作ハックが貸付プロトコル0VIXを襲い、人気のたまごっちゲームに触発されたブロックチェーンゲームイニシアチブのステークトークンvGHSTのエクスプロイトに続き、200万ドル以上の損失をもたらしました。ブロックチェーンセキュリティ企業PeckShieldは、0VIXプロトコル攻撃の背後にいるハッカーが、6.12百万ドル相当のステーブルコインを用いたフラッシュローンを利用してvGSHT貸付ポジションを開いたことを明らかにしました。

攻撃者はその後、プロトコルの価格オラクルとvGSHT貸付プールを操作し、GHSTの価格を急騰させました。これによりvGHST貸付プールが支払不能となり、プールを清算して担保を持ち逃げすることが可能になりました。プロトコルのコアチームはPolygon POSとzkEVMの運用（トークン貸付市場）を停止し、事態の管理に向けた取り組みを開始したと付け加えました。

その後のアップデートで、0VIXプロトコル協会はzkEVM上の運用を再開し、0VIX Polygon zkEVMマーケットのユーザーが資金に自由にアクセスできるようにしました。全ユーザーに対し、ポジションとヘルスファクターを確認し、未払いの債務を返済するよう求めました。また、0VIX zkEVMの停止は予防的措置に過ぎず、エクスプロイトは影響を及ぼさなかったと明らかにしました。ただし、協会は進行中の捜査の完全性を保護するため、さらなる詳細は開示せず、セキュリティパートナーと共に侵害された資金の回復に尽力すると付け加えました。

Level Financeの報酬メカニズムのバグにより、攻撃者がLVLトークンを $1M で吸い上げた

今週、Level Financeは自社のネイティブLVLトークンで100万ドル相当がハックされました。BNBチェーン上の非カストディアルなスポットおよび永久契約取引所は、5月1日に攻撃者がLevelReferralControllerV2リファラル契約を標的にし、繰り返し請求を可能にすることで214以上のLVLを奪い、これを3,345 BNBに交換したと確認しました。

ブロックチェーンセキュリティ企業PeckShieldは、ハックは同一エポック内で繰り返しリファラル請求を可能にするバグが原因であり、Level Financeはこれがインセンティブメカニズムの最近のアップデートによるものと確認したと述べました。プラットフォームは攻撃を止めるためにリファラルプログラムを一時的に停止しましたが、今回の事件は流動性プールや関連DAOには影響しませんでした。

Deus Financeは $6M のハックを受け、契約を一時停止しDEIを焼却

最近のインシデントで、DeFiプロトコルのDeus Financeは週末にBNBスマートチェーンとArbitrumへのデプロイがハック被害に遭ったことを確認しました。まだ確定していませんが、この操作により6百万ドル以上の暗号資産が失われました。PeckShieldによると、攻撃はボットによって先回りされ、ハッカーはDEI/BUSDプールから1,337,375 BUSD、さらにARB/ETHプールから5百万ドルを持ち逃げしました。Deusはさらなる損失を防ぐために全契約を一時停止し、チェーン上でDEIトークンを焼却しました。プロトコルチームはDEIの基礎担保を積極的に評価しており、事前焼却されたDEI残高に応じた包括的な回復・償還プランを策定すると述べました。

今回の侵害後にアービトラージに参加し、途中で行き詰まった可能性のある個人がいることを認識し、Deusはこれらの取引を迅速に逆転できるかどうかを積極的に評価して問題解決に努めています。DeFiプラットフォームは、現在使用中のDeus v3システムがDEIから分離されているため、今回の出来事の影響を受けていないと指摘しました。また、攻撃者に対し、得た利益の80％を放棄し、残りをホワイトハット・バウンティとみなすよう求めています。本日早朝のツイートで、DEIステーブルコイン発行者のDeus Financeは、エクスプロイターが協力し、2,023 ETHをYearn Financeの信頼されたメンバーが管理するリカバリ用マルチシグウォレットアドレスに返送したと述べました。